Krátka odpoveď: NIS2 (smernica EÚ 2022/2555) je kybernetický zákon EÚ pre kritické sektory. Zdravotníctvo je sektor s vysokou kritickosťou (príloha I): nemocnice a iní poskytovatelia zdravotnej starostlivosti, referenčné laboratóriá EÚ, výrobcovia základných farmaceutických výrobkov a zdravotníckych pomôcok kritických počas núdzovej situácie v oblasti verejného zdravia a subjekty zaoberajúce sa výskumom a vývojom liekov. Sú v nej zahrnutí aj poskytovatelia digitálnych služieb, od ktorých zdravotníctvo závisí: cloud computing, dátové centrá, spravované bezpečnostné služby a online platformy a trhoviská. Subjekty nad prahovou hodnotou veľkosti (stredné: 50 zamestnancov alebo obrat 10 miliónov EUR) sú základné alebo dôležité v závislosti od sektora a veľkosti a musia implementovať desať kategórií bezpečnostných opatrení, hlásiť významné incidenty do 24 hodín, 72 hodín a jedného mesiaca a prijať zodpovednosť, že manažment je osobne zodpovedný. Členské štáty mali túto smernicu transponovať do 17. októbra 2024; niektoré tak urobili neskoro a platia národné zákony, nie smernica.
Kto je v rozsahu pôsobnosti
NIS2 pokrýva zdravotnícky sektor ako sektor vysokej kritickosti: nemocnice a iní poskytovatelia zdravotnej starostlivosti, referenčné laboratóriá EÚ, výrobcovia základných farmaceutických výrobkov a zdravotníckych pomôcok kritických v núdzovej situácii verejného zdravia a subjekty zaoberajúce sa výskumom a vývojom liekov, ako aj poskytovatelia cloudových služieb, dátových centier a spravovaných služieb, na ktorých zdravotníctvo závisí. Stredne veľké subjekty sú všeobecne dôležité, veľké subjekty sú nevyhnutné.
| Subjekt | Príloha | Typický status |
|---|---|---|
| Nemocnice, kliniky, siete praktických lekárov, laboratóriá, lekárne poskytujúce starostlivosť (poskytovatelia zdravotnej starostlivosti podľa smernice 2011/24) | I, zdravotníctvo | Základné, ak sú veľké (250+ zamestnancov alebo 50 miliónov EUR+), dôležité, ak sú stredné |
| Referenčné laboratóriá EÚ | I, zdravotníctvo | Základné |
| Výrobcovia základných farmaceutických výrobkov a prípravkov | I, zdravotníctvo | Základné alebo dôležité podľa veľkosti |
| Výrobcovia zdravotníckych pomôcok považovaných za kritické počas núdzovej situácie v oblasti verejného zdravia (zoznam podľa nariadenia 2022/123) | I, zdravotníctvo | Základné alebo dôležité podľa veľkosti |
| Subjekty vykonávajúce výskum a vývoj liekov | I, zdravotníctvo | Základné alebo dôležité podľa veľkosti |
| Poskytovatelia cloudových služieb, poskytovatelia dátových centier, siete na doručovanie obsahu, spravovaní poskytovatelia služieb (bezpečnostných), DNS, registre TLD | I, digitálna infraštruktúra a správa IT služieb | Základné bez ohľadu na veľkosť pre niektoré (DNS, TLD, dôveryhodné služby); inak podľa veľkosti |
| Online trhoviská, vyhľadávače, sociálne siete | II, digitálni poskytovatelia | Dôležité podľa veľkosti |
| Výrobcovia iných zdravotníckych pomôcok a počítačov, elektroniky, strojov | II, výroba | Dôležité podľa veľkosti |
Predajca zdravotníckych technológií ako SaaS nie je poskytovateľom zdravotnej starostlivosti, ale môže byť v rozsahu pôsobnosti ako poskytovateľ cloudových služieb (ak ponúka cloudové služby ako svoje podnikanie) alebo môže byť zahrnutý prostredníctvom svojich zákazníkov: článok 21 ods. 2 písm. d) vyžaduje od základných a dôležitých subjektov riadiť bezpečnosť dodávateľského reťazca, takže nemocnice prenášajú požiadavky na úrovni NIS2 do zmlúv so svojimi dodávateľmi softvéru. Mikropodniky a malé podniky sú zvyčajne mimo rozsahu pôsobnosti, pokiaľ ich členský štát neurčí (napríklad ako jediných poskytovateľov kritickej služby).
Desať opatrení, článok 21
Článok 21 NIS2 vyžaduje, aby každý subjekt v rozsahu pôsobnosti prijal primerané opatrenia v desiatich oblastiach: analýza rizík a bezpečnostné politiky, riešenie incidentov, kontinuita podnikania a krízové riadenie, bezpečnosť dodávateľského reťazca, bezpečné obstarávanie a vývoj vrátane riešenia zraniteľností, hodnotenie účinnosti, kybernetická hygiena a školenia, kryptografia a šifrovanie, bezpečnosť ľudských zdrojov a kontrola prístupu a viacfaktorová autentizácia so zabezpečenou komunikáciou.
Každý subjekt v rozsahu pôsobnosti musí prijať primerané a proporcionálne technické, prevádzkové a organizačné opatrenia pokrývajúce minimálne:
- politiky analýzy rizík a bezpečnosti informačných systémov;
- riešenie incidentov;
- kontinuita podnikania (zálohovanie, obnova po havárii) a krízové riadenie;
- bezpečnosť dodávateľského reťazca, vrátane bezpečnosti vzťahov s priamymi dodávateľmi;
- bezpečnosť pri akvizícii, vývoji a údržbe systémov, vrátane riešenia a zverejňovania zraniteľností;
- politiky na hodnotenie účinnosti opatrení;
- základné postupy kybernetickej hygieny a školenia;
- politiky kryptografie a, kde je to vhodné, šifrovania;
- bezpečnosť ľudských zdrojov, riadenie prístupu a správa aktív;
- viacfaktorová alebo nepretržitá autentizácia, zabezpečená komunikácia a zabezpečená núdzová komunikácia.
Implementačné nariadenie z októbra 2024 (2024/2690) ich podrobne špecifikuje pre poskytovateľov digitálnej infraštruktúry a IT služieb a národné orgány zverejňujú vlastné katalógy pre zdravotníctvo. Zoznam sa úzko zhoduje s prílohou A normy ISO/IEC 27001; organizácia s certifikovaným ISMS, ktorý pokrýva príslušné systémy, je na dobrej ceste. Pozri ISO 27001 vs ISO 27799.
Hodiny incidentov, článok 23
Podľa článku 23 NIS2 musí byť významný incident nahlásený národnému CSIRT alebo príslušnému orgánu v troch krokoch: včasné varovanie do 24 hodín od zistenia, oznámenie o incidente do 72 hodín s počiatočným hodnotením a záverečná správa do jedného mesiaca pokrývajúca hlavnú príčinu a zmiernenie, s priebežnou správou na požiadanie.
Významný incident (taký, ktorý spôsobuje alebo môže spôsobiť vážne prevádzkové narušenie alebo finančnú stratu, alebo postihnúť iných s podstatnou škodou) musí byť nahlásený národnému CSIRT alebo príslušnému orgánu:
- včasné varovanie do 24 hodín od zistenia, uvádzajúce, či je podozrenie na škodlivú činnosť a či existuje cezhraničný dopad;
- oznámenie o incidente do 72 hodín, s počiatočným hodnotením závažnosti a dopadu a indikátormi kompromitácie;
- priebežná správa na požiadanie;
- konečná správa do jedného mesiaca, s koreňovou príčinou, zmiernením a cezhraničným dopadom.
Ak sa týka osobné údaje, 72-hodinové oznámenie podľa GDPR orgánu na ochranu osobných údajov prebieha paralelne; útok ransomware na nemocnicu spúšťa obe. Príjemcovia služieb musia byť informovaní, keď ich incident môže ovplyvniť.
Správa, zodpovednosť, pokuty
NIS2 robí manažment osobne zodpovedným: manažérske orgány musia schváliť opatrenia kybernetickej bezpečnosti, dohliadať na ich implementáciu a absolvovať školenia a môžu byť zodpovedné za porušenia; pre základné subjekty môžu orgány dočasne pozastaviť manažérov. Pokuty dosahujú 10 miliónov EUR alebo 2 % celosvetového obratu pre základné subjekty a 7 miliónov EUR alebo 1,4 % pre dôležité subjekty.
Orgány môžu vykonávať audity, vyžadovať dôkazy a v niektorých členských štátoch je registrácia subjektov samotnou povinnosťou.
Stav transpozície
NIS2 musela byť transponovaná do národného práva do 17. októbra 2024. Do polovice roka 2025 malo približne polovicu členských štátov účinné zákony, Komisia začala konanie o porušení právnych predpisov voči tým oneskoreným a nemecký implementačný zákon nadobudol účinnosť koncom roka 2025. Národný zákon, nie smernica, stanovuje termín registrácie, príslušný orgán a prípadný katalóg zdravotníckeho sektora.
Lehota na transpozíciu bola 17. októbra 2024. Do polovice roku 2025 malo zákony v platnosti približne polovica členských štátov (medzi prvými Belgicko, Chorvátsko, Maďarsko, Taliansko, Lotyšsko, Litva, Rumunsko, Slovensko) a Komisia začala konania o porušení právnych predpisov proti tým neskorým; nemecký zákon o implementácii NIS2 nadobudol účinnosť koncom roka 2025. Skontrolujte svoj národný zákon týkajúci sa registračnej lehoty, orgánu (často národná agentúra pre kybernetickú bezpečnosť pre zdravotníctvo, niekedy regulátor zdravotníckeho sektora) a sektorovo špecifické katalógy. Mimo EÚ Spojené kráľovstvo nasleduje s návrhom zákona o kybernetickej bezpečnosti a odolnosti.
Pre predajcu zdravotníckych technológií, prakticky
Pre predajcu zdravotníckych technológií prichádza NIS2 hlavne prostredníctvom zmlúv s nemocnicami: zákazníci v rozsahu pôsobnosti musia riadiť bezpečnosť dodávateľského reťazca, preto vyžadujú oznámenie o incidente v priebehu niekoľkých hodín, dôkazy o desiatich opatreniach podľa článku 21, zverejnenie zraniteľností, zoznamy subdodávateľov a plány ukončenia a kontinuity. Jeden systém riadenia informačnej bezpečnosti s týmito prvkami zdokumentovanými raz je najlacnejším spôsobom, ako odpovedať.
Anpheros zverejňuje svoju bezpečnostnú prax na vývojárskej stránke (security, reliability) a riadi reakciu na incidenty podľa časových harmonogramov NIS2 aj GDPR v tom istom runbooku.
Táto stránka vysvetľuje reguláciu pre produktové a inžinierske tímy. Nie je to právna rada; texty uvedené v sekcii Zdroje sú záväzné a váš zodpovedný pracovník pre ochranu osobných údajov, notifikovaný orgán alebo právny zástupca rozhodne pre váš prípad. Posledná revízia: október 2026.
Súvisiace stránky
- ISO 27001 vs ISO 27799
- GDPR článok 9 pre zdravotné údaje
- Mapa regulácie zdravotných údajov
- DPIA pre zdravotnú aplikáciu
- Bezpečnosť platformy (vývojárska stránka)
Zdroje
- Smernica (EÚ) 2022/2555 (NIS2), EUR-Lex
- Implementačné nariadenie Komisie (EÚ) 2024/2690 (technické požiadavky NIS2 pre digitálnych poskytovateľov), EUR-Lex
- Európska komisia: Prehľad smernice NIS2
- Nariadenie (EÚ) 2022/123 (posilnená úloha EMA; zoznam kritických zdravotníckych pomôcok), EUR-Lex
Časté otázky
Je moja 30-členná spoločnosť zaoberajúca sa zdravotníckym softvérom v rozsahu pôsobnosti?
Zvyčajne nie priamo, pokiaľ vás váš národný zákon neurčí alebo neposkytujete službu uvedenú v prílohe I bez ohľadu na veľkosť. Stále sa budete stretávať s požiadavkami NIS2 prostredníctvom povinností dodávateľského reťazca vašich nemocničných zákazníkov, ktoré sa prenášajú do zmlúv.
Čo je významný incident?
Taký, ktorý spôsobuje alebo môže spôsobiť vážne prevádzkové narušenie alebo finančnú stratu pre subjekt, alebo ktorý postihne iných ľudí alebo organizácie s podstatnou materiálnou alebo nemateriálnou škodou. Ransomvérový útok na nemocnicu je učebnicový prípad; krátky výpadok bez dopadu na údaje zvyčajne nie je.
Nahradí NIS2 oznámenie o porušení GDPR?
Nie. Prebiehajú paralelne s rôznymi príjemcami (CSIRT alebo orgán pre kybernetickú bezpečnosť vs. orgán na ochranu osobných údajov), rôznymi spúšťačmi (narušenie služby vs. porušenie osobných údajov) a prekrývajúcimi sa lehotami.
Je certifikácia ISO 27001 dôkazom súladu s NIS2?
Nie formálne, ale viaceré členské štáty a ENISA považujú certifikovaný ISMS pokrývajúci príslušný rozsah za silný dôkaz a niektoré národné schémy ho akceptujú ako predpoklad pre väčšinu opatrení. Povinnosti týkajúce sa hlásenia incidentov a školenia manažmentu je stále potrebné preukázať samostatne.
Vyskúšajte zadarmo v sandboxe
Prvé volanie FHIR za 5 minút. API podľa štandardu HL7 FHIR R4 s integrovaným súhlasom pacienta: vyskúšajte si ho v sandboxe a potom pripojte svoju vlastnú aplikáciu alebo klinický systém.
Zadarmo · 30 syntetických pacientov · bez karty
Anpheros vyvíja zdravotný záznam, ktorý pacient ovláda a môže zdieľať s akoukoľvek klinikou, na platforme HL7 FHIR R4, so sídlom v EÚ. Tieto návody vám pomôžu pochopiť a usporiadať si svoje zdravie; nenahrádzajú vášho lekára.
O Anpherose →